Política de divulgación de vulnerabilidades

Creemos que la divulgación de vulnerabilidades es una calle de doble sentido. Tanto los proveedores como los investigadores deben participar en la divulgación coordinada de vulnerabilidades. Cuando Enable Security descubre vulnerabilidades a través de su propia investigación, notificará a los proveedores de estas vulnerabilidades, compartiendo los detalles públicamente con la comunidad defensiva después de 90 días desde el primer contacto, o antes si el proveedor publica un parche.

• Enable Security hará esfuerzos razonables para establecer comunicaciones confidenciales con el proveedor.
• Una vez que se haya establecido contacto con el equipo de seguridad del proveedor, o con el contacto designado, Enable Security comunicará todos los detalles de la vulnerabilidad, junto con un enlace a esta política y la fecha de divulgación planificada actual.
• Enable Security brindará asistencia razonable al proveedor para comprender la importancia de la vulnerabilidad descubierta.
• Si el proveedor no reconoce nuestro contacto inicial dentro de los 7 días, se realizarán intentos adicionales a través de diferentes canales para establecer el contacto adecuado dentro de la organización del proveedor.
• Si después de 30 días del contacto inicial no se recibe ningún reconocimiento del proveedor, se realizará un contacto final informando sobre la divulgación completa en 30 días.
• Después de otros 30 días, completando 90 días desde la divulgación inicial, Enable Security publicará la vulnerabilidad.

El plazo de 90 días puede variar de las siguientes maneras:

• Si una fecha límite vence en un fin de semana o en un día festivo de EE. UU./Alemania, la fecha límite se trasladará al siguiente día laborable normal.
• Antes de que expire el plazo de 90 días, si un proveedor nos informa que tiene previsto publicar un parche en un día específico que caiga dentro de los 14 días posteriores a la fecha límite, retrasaremos la divulgación pública hasta que el parche esté disponible. Si el parche se retrasa nuevamente más allá del período de gracia de 14 días, nos reservamos el derecho de publicar la vulnerabilidad.
• Cuando observamos una vulnerabilidad previamente desconocida y sin parchear en software bajo explotación activa (un “0day”), creemos que es apropiada una acción más urgente, dentro de 7 días. La razón de esta designación especial es que cada día que una vulnerabilidad explotada activamente permanece sin divulgar al público y sin parchear, más dispositivos o cuentas se verán comprometidos. Siete días es un plazo agresivo y puede ser demasiado corto para que algunos proveedores actualicen sus productos, pero debería ser tiempo suficiente para publicar recomendaciones sobre posibles mitigaciones, como deshabilitar temporalmente un servicio, restringir el acceso o contactar al proveedor para obtener más información. Como resultado, después de que hayan transcurrido 7 días sin un parche o aviso, apoyaremos a los investigadores para que pongan los detalles a disposición del público, de modo que los usuarios puedan tomar medidas para protegerse.

Como siempre, nos reservamos el derecho de adelantar o retrasar las fechas límite en función de circunstancias extremas. Seguimos comprometidos a tratar a todos los proveedores de manera estrictamente igual. Enable Security espera ser evaluada con el mismo estándar.

Esta política, basada en la de Google, está fuertemente alineada con nuestro deseo de mejorar los tiempos de respuesta de la industria a los errores de seguridad, pero también resulta en aterrizajes más suaves para los errores que superan ligeramente la fecha límite.

Para las últimas noticias, investigaciones y novedades de Enable Security sobre seguridad, investigación y proyectos, visite nuestro blog.